Une entreprise modifie la façon dont elle corrige les instances EC2. Actuellement, les instances sont corrigées via Internet via une passerelle NAT dans le VPC du compte d'application. Un VPC privé dédié dans un compte central héberge des instances EC2 agissant comme un référentiel de sources de correctifs. L'entreprise souhaite utiliser Systems Manager Patch Manager et le référentiel de correctifs du compte central pour corriger les instances EC2 dans le compte d'application, tout en empêchant toutes les instances du compte d'application d'accéder à Internet. Les instances doivent toujours avoir accès à Amazon S3 (où les données d'application sont stockées), à Systems Manager et au référentiel de correctifs dans le compte central. Quelle solution répond à ces exigences ?

La bonne réponse est de créer des points de terminaison VPC pour Systems Manager et Amazon S3, de supprimer la passerelle NAT, de créer un peering VPC vers le compte central et de mettre à jour les tables de routage. Les points de terminaison VPC (interface pour Systems Manager et passerelle pour S3) permettent aux instances d'accéder à ces services sans passer par Internet. La suppression de la passerelle NAT empêche l'accès Internet sortant. Le peering VPC permet la communication privée entre le compte d'application et le compte central pour le référentiel de correctifs. Les tables de routage doivent être mises à jour pour diriger le trafic vers ces points de terminaison et la connexion de peering. Les autres options sont incorrectes car : Bloquer le port 80 avec une ACL réseau ne suffit pas à empêcher tout accès Internet et un serveur VPN personnalisé n'est pas la solution AWS native pour ce cas d'utilisation. Les interfaces virtuelles privées (VIF) sont utilisées avec Direct Connect, pas pour connecter des services AWS au sein d'un VPC ou entre VPC. Une passerelle de transit est une option viable pour la connectivité inter-VPC, mais les VIF ne le sont pas. Bloquer le trafic entrant sur le port 80 avec une ACL réseau ne résout pas le problème de l'accès sortant à Internet.